Tres cuartas partes de las empresas de energía globales han sufrido una o más violaciones de datos en los últimos 12 meses, según un nuevo estudio realizado por el Instituto Ponemon, que encuentra evidencia de deficiencias generalizadas en las empresas suministradoras de energía.

El informe "El Estado de la Seguridad Informática: Estudio de las Empresas de Energía y Servicios Públicos " fue presentado el miércoles por el Instituto Ponemon. La encuesta, realizada a 291 trabajadores de TI y de seguridad, dibuja un panorama sombrío de trabajadores desanimados, gestión ausente y protecciones obsoletas. El informe es una dura advertencia sobre la vulnerabilidad de las infraestructuras energéticas críticas en un momento en que los programas maliciosos como Stuxnet demuestran que las empresas de energía y servicios públicos y otras infraestructuras críticas se encuentran bajo el acecho de los hackers, dijo Tom Turner, ejecutivo de Q1 Labs en Waltham, Massachusetts, patrocinador del estudio de Ponemon.

Aunque desde hace tiempo sufren el acecho de los hackers, las empresas de energía y servicios públicos ahora es cuando han informado que están bajo la mira de los hackers. En el estudio de Ponemon, el 76% del personal de seguridad de TI entrevistados informó que su organización había sufrido "violaciones de uno o más datos" en los últimos 12 meses. Un número similar - 69% - dijo que es probable que se produzca una violación de sus datos en los próximos 12 meses, dijo Ponemon.
Según los encuestados, esta actitud pesimista, que es el punto de vista de la mayoría, se debe a que sus recursos de seguridad IT están siendo mal dirigidos. Casi todos -  el 96% - dijeron que el cumplimiento de la regulación relacionado con la industria, como por ejemplo NERC, ha sido "muy difícil" y el 77% profesa la opinión de que al hacerlo no mejora la preparación de la seguridad de su organización. Sin embargo, el cumplimiento de los objetivos fue una prioridad para las empresas de energía, sólo superada por la disponibilidad del servicio, según el estudio.

Cuando se les preguntó cuál era la amenaza más grave a la que se habían enfrentado, los consultados a la encuesta Ponemon dijeron que la información privilegiada maliciosa o negligente es la principal amenaza. Sin embargo, sólo el 5% de los encuestados dijo que la clasificó como su máxima prioridad. En cambio, la disponibilidad de servicio (minimizando el tiempo de inactividad) fue la primera meta clasificada por el 55%. Sólo el 14% dijo que la protección contra los ciberataques es una prioridad de su programa de seguridad de TI.

Las empresas de energía y de servicios públicos y privados, que han operado de forma aislada durante muchos años, han separado físicamente las redes de la seguridad. Pero con un cambio masivo en la última década de plataformas comunes basadas en IP, las brechas han desaparecido, dijo Turner. Sin embargo, la cultura de la seguridad de TI que se generó persiste: los trabajadores de TI en el sector de la energía tienden a ser mayores y más grises que sus homólogos en otros lugares (el encuestado promedio tenía 11 años de experiencia). Los trabajadores ahora tienen que adaptarse a un mundo en rápida evolución, que incluye vínculos más complejos entre las redes de negocios y la producción y el advenimiento de nuevas infraestructuras, como medidores inteligentes conectados a Internet, dijo Turner.

A diferencia de las empresas en mercados verticales, tales como servicios financieros o las empresas minoristas, las de energía disponen de menos recursos financieros para hacer frente a la seguridad cibernética. También deben lidiar con una compleja infraestructura física y de TI, incluyendo Control de Supervisión y Adquisición de Datos (SCADA) que tradicionalmente no ha sido un foco de inversión en seguridad TI. Añadido a la presión por mantener las centrales eléctricas on line en todo momento, la seguridad en TI se descuelga de la lista de prioridades, dijo Turner, de Q1 Labs.
Numerosos informes han sacado a la luz las deficiencias en el tratamiento de la seguridad de los sistemas SCADA y las redes que utilizan las grandes empresas de energía y servicios públicos. Los vendedores SCADA han demostrado ser lentos para reportar e informar sobre los graves agujeros de seguridad en su software. Al mismo tiempo, investigadores en seguridad han encontrado y publicado más de estos agujeros y han creado herramientas para hacer más fácil la creación de sistemas de control industrial y SCADA conectados a Internet que puedan ser blancos de ataque.

El gusano Stuxnet reveló que sofisticados atacantes - patrocinados por el estado y por otros - tienen el conocimiento y los medios para atacar sistemas de control industrial especializados SCADA.
Turner dijo que la industria tendría que pasar de un enfoque de seguridad que hace hincapié en la protección física a uno que hace de la seguridad TI un imperativo estratégico para la alta dirección.

Instituto Ponemos / ThreatPost (5-04-2011)

http://threatpost.com/en_us/blogs/study-three-four-energy-firms-had-data-breach-last-year-040511